华为设备SSH配置及SSH相关问题处理

本文介绍华为设备（主要为路由器、交换机、防火墙）如何配置SSH远程登录，核心内容为处理华为的较新版设备配置SSH后无法远程的相关问题。

SSH配置

华为系列设备配置SSH步骤基本一致，只有防火墙存在些许不同
若无特殊说明，所有命令默认均在系统视图下执行。

# 配置用于ssh登陆的用户admin，并授予最高权限
# 在部分新设备上配置用户可能失败，可参考文章问题排查部分相关内容进行排查；
aaa
  local-user admin password cipher admin@123
  local-user admin privilege level 15
  local-user admin service-type ssh

# 开启ssh服务
stelnet server enable

# 将admin添加到ssh用户
ssh user admin authentication-type password
ssh user admin service-type stelnet

# 使能设备自身ssh到其他设备的能力。
# 注：该能力只是允许设备自身去ssh其他设备，并不影响其他设备ssh到本设备
ssh client first-time enable

# 生成本地密钥对，该秘钥即用于ssh间认证
# 长度一般输入2048就足够，回车等待秘钥对生成
rsa local-key-pair create

# 配置vty接口，一般来说，支持ssh同时在线的用户数量由vty决定
# 计算方式类似数组，0-4为5个数字，即最大支持5个同时在线ssh用户
user-interface vty 0 4
  authentication-mode aaa
  protocol inbound ssh

问题排查

创建用户

问题描述：创建用户过程中报错用户名复杂度不够

# 在aaa视图下disable用户名复杂度检测
aaa
  local-aaa-user user-name complexity-check disable

问题描述：创建用户后，首次登陆强制要求修改密码

# 在aaa视图下disable强制修改密码
aaa
  local-user admin password-force-change disable

SSH登陆失败

当登陆失败时，首先应检查本地至设备的22端口是否连通

问题描述：ssh登陆未回显内容，超时关闭。且telnet设备22端口不通

# 通用部分是新版本的设备默认所有端口都不接收ssh管理。
# 针对管理端口放行ssh即可，此处演示为所有端口都允许ssh访问。请根据实际更改
ssh server-source all-interface

# 针对防火墙设备，检查相应端口是否加入zone，必须要加入zone才能被访问到
display zone

# 针对防火墙设备，接口使能ssh管理
interface [接口]
  service-manage enable
  service-manage ssh permit
  
# 值得注意的是，华为防火墙接口使能ssh即可被访问到，不需要再写安全策略

问题描述：ssh登陆后报错秘钥交换协商错误（key-exchange/publickey/hmac相关）
注：在使用CRT进行SSH连接时，此问题可能会表示为“数据库xxxx失败”

# 此问题通常发生在新版本设备上，是因为新设备默认不支持弱秘钥算法。参考以下步骤可解决
# 除下载弱秘钥算法部分，其他命令均在系统视图执行

# 下载弱秘钥算法
<huawei> install feature-software WEAKEA

# 重新配置秘钥算法
undo ssh server hmac
undo ssh server publickey
undo ssh server key-exchange
ssh server cipher aes256_gcm aes128_gcm aes256_ctr aes192_ctr aes128_ctr aes256_cbc aes192_cbc aes128_cbc arcfour256 arcfour128 3des_cbc blowfish_cbc des_cbc sm4_cbc
ssh server hmac sha2_512 sha2_256_96 sha2_256 sha1 sha1_96 md5 md5_96 sm3
ssh server key-exchange dh_group_exchange_sha256 dh_group_exchange_sha1 dh_group14_sha1 dh_group1_sha1 ecdh_sha2_nistp256 ecdh_sha2_nistp384 ecdh_sha2_nistp521 sm2_kep dh_group16_sha512 curve25519_sha256
ssh server publickey dsa ecc rsa x509v3-ssh-rsa rsa_sha2_256 rsa_sha2_512

写作不易，如果觉得本篇blog有用，请帮忙点赞、收藏、关注
对本文有任何疑问，或需要纠错，欢迎评论私信